Analisi dello spostamento dei progetti

Questa guida descrive come utilizzare l'API Cloud Asset Inventory Analyze Move per ottenere un report dettagliato su avvisi e blocchi da un elenco di sistemi di norme critiche prima di spostare effettivamente il progetto.

Abilita API

Seleziona o crea un progetto come progetto consumer API, abilita l'API Cloud Asset

Questo progetto consumer può essere diverso dal progetto che prevedi di analizzare e migrare. Il progetto consumer verrà utilizzato per generare le credenziali per effettuare richieste API.

La sezione successiva descrive i ruoli e le autorizzazioni richiesti che devono essere concessi nel progetto di origine che prevedi di analizzare.

Autorizzazioni obbligatorie

Per eseguire un'analisi dello spostamento del progetto, devi disporre di un ruolo che conceda l'autorizzazione cloudasset.assets.analyzeMove, ad esempio Visualizzatore asset Cloud o Visualizzatore.

Per ricevere l'analisi di un servizio, devi disporre anche di ruoli correlati a questi servizi. Queste autorizzazioni includono:

• Se vuoi visualizzare i criteri di autorizzazione ereditati dalla risorsa organizzazione padre del progetto di origine, devi disporre dell'autorizzazione resourcemanager.organizations.getIamPolicy per la risorsa organizzazione padre del progetto di origine.

• Se vuoi visualizzare le policy di autorizzazione ereditate dalla cartella principale del progetto di origine, devi disporre dell'autorizzazione resourcemanager.folders.getIamPolicy per la cartella principale del progetto di origine.

• Se vuoi visualizzare le policy di autorizzazione nel progetto, devi disporre dell'autorizzazione resourcemanager.projects.getIamPolicy nel progetto di origine.

• Se vuoi visualizzare i criteri di negazione ereditati dalla risorsa organizzazione padre del progetto di origine, devi disporre dell'autorizzazione iam.denypolicies.get per la risorsa organizzazione padre del progetto di origine.

• Se vuoi visualizzare i criteri dell'organizzazione ereditati in questo progetto, devi disporre dell'autorizzazione orgpolicy.policy.get per il progetto di origine.

• Se vuoi visualizzare le policy firewall di Compute Engine ereditate in questo progetto, devi disporre dell'autorizzazione compute.organizations.setSecurityPolicy per la cartella o la risorsa dell'organizzazione di origine.

• Se vuoi visualizzare i tag ereditati in questo progetto, devi disporre dell'autorizzazione resourcemanager.hierarchyNodes.listEffectiveTags nel progetto di origine o nei relativi nodi predecessori.

Eseguire l'analisi

Puoi utilizzare Google Cloud CLI o l'API per analizzare la migrazione di una risorsa dalla sua posizione attuale nella gerarchia delle risorse.

gcloud asset analyze-move --project=PROJECT_ID \
  (--destination-folder=FOLDER_ID \
    | --destination-organization=ORGANIZATION_ID)

gcloud asset analyze-move --project=PROJECT_ID \
  --destination-folder=FOLDER_ID

gcloud asset analyze-move --project=PROJECT_ID \
  --destination-organization=ORGANIZATION_ID

GET https://cloudasset.googleapis.com/v1/{resource=*/*}: \
  analyzeMove?destinationParent=DESTINATION_NAME

Spostare le risposte dell'analisi

La risposta che ricevi dall'API Move Analysis è raggruppata per nome del servizio. Sotto ogni servizio è riportato un elenco di avvisi e blocchi applicabili a questa migrazione del progetto. Qualsiasi blocco restituito da questa analisi significa che la migrazione del progetto verrà bloccata in fase di runtime se procedi con lo spostamento prima di risolverli.

Risolvere gli errori

Se viene restituito un errore dall'API Move Analysis, questo include un codice gRPC standard, nonché un messaggio che descrive il motivo per cui l'API Move Analysis non è riuscita ad analizzare il progetto.

La seguente tabella descrive i codici di errore che potrebbero essere restituiti dall'API Move Analysis:

Esempio di messaggio di errore

Il seguente esempio mostra il codice di errore restituito per un utente che non dispone dell'autorizzazione cloudasset.assets.analyzeMove sul progetto da migrare:

{
  "error": {
  "code": 403,
  "message": "Failed to fetch Project: projects/test-project-service-3 to perform
              move analysis.",
  "status": "PERMISSION_DENIED"}
}

Alcuni sistemi di policy potrebbero non riuscire ad analizzare lo spostamento delle risorse. Il seguente esempio mostra l'errore restituito dal servizio firewall gerarchico quando l'utente non dispone dell'autorizzazione compute.organizations.setSecurityPolicy per il progetto da migrare:

{
  "moveAnalysis": [{
    "displayName": "name hidden",
    "analysis": {
      "warnings": [{
        "detail": "details hidden"
      }]
    }
  }, {
    "displayName": "name hidden",
    "analysis": {
      "warnings": [{
        "detail": "details hidden"
      }]
    }
  }, {
    "displayName": "Hierarchical Firewall",
    "error": {
      "code": 7,
      "message": "Failed to retrieve inherited security policies to perform
                  analysis. Required 'compute.organizations.setSecurityPolicy'
                  permission for {resource ID}"
     }}]
}

Passaggi successivi

L'API Move Analysis fornisce dettagli che aiutano a mitigare i blocchi e altri problemi durante lo spostamento di un progetto da una risorsa organizzazione a un'altra. Per ulteriori informazioni sulla migrazione dei progetti tra risorse dell'organizzazione, consulta la sezione Migrazione dei progetti.